18 vulnérabilités dans le noyau Linux avec des exploits pour obtenir les droits root dans le système

Des chercheurs de Nebula Security ont révélé des informations sur 18 vulnérabilités dans le noyau Linux et ont préparé des exploits permettant à un utilisateur local non privilégié d'obtenir des droits root dans le système. Les vulnérabilités ont été corrigées dans diverses mises à jour printanières et estivales du noyau. Problèmes identifiés :

• CVE-2026-43502 (exploit) — une vulnérabilité dans le sous-système réseau RDS (Reliable Datagram Sockets), causée par un nettoyage incorrect des pages mémoire verrouillées lors de l'échec de l'envoi de données en mode zerocopy avant la mise en file d'attente du message. Le problème a reçu le nom de code ZcopyReaper, se manifeste à partir de la version 4.17 du noyau et a été corrigé dans le noyau en mai. L'exploitation de la vulnérabilité est possible sur les systèmes avec un noyau configuré avec les options CONFIG_INET=y, CONFIG_AIO=y, CONFIG_RDS=y|m et CONFIG_RDS_TCP=y|m (généralement définies par défaut). Aucun droit d'accès aux espaces de noms d'identifiants utilisateurs n'est requis pour l'attaque. L'exécution de l'exploit a été démontrée sur openSUSE avec le noyau standard 6.4.
• CVE-2026-80714 (exploit) — une vulnérabilité dans le sous-système IPVS (IP Virtual Server), causée par un accès à la mémoire après sa libération en raison d'un incorrect réglage du drapeau IP_VS_CONN_F_ONE_PACKET lors de la synchronisation d'une connexion, ce qui après l'expiration du délai de vie de la connexion entraîne la présence dans la table de hachage de pointeurs pendants référant à une structure ip_vs_conn déjà libérée. Le problème a été corrigé le 19 août. L'exécution de l'exploit a été démontrée sur Debian 13 avec le noyau 6.12.
• CVE-2026-74597 (exploit) — une vulnérabilité dans le pilote ip6_tunnel, causée par une application erronée d'un décalage au paquet encapsulé pour l'option HAO (Home Address Option), calculé sur la base du paquet externe. En transmettant un paquet encapsulé avec un en-tête spécialement conçu, il est possible d'écrire des données en dehors du tampon alloué. Le problème a été corrigé le 19 août. L'exécution de l'exploit a été démontrée sur CentOS avec le noyau 6.12.
• CVE-2026-74581 (exploit) — une vulnérabilité dans le code de gestion des tables de routage IPv6, causée par un accès à la mémoire après sa libération (après la libération de la mémoire pour la route, un pointeur actif sur cette route restait). Le problème a été corrigé le 19 août. L'exécution de l'exploit a été démontrée sur Debian 13 avec le noyau 6.12.
• CVE-2026-74480 (exploit) — une vulnérabilité dans le sous-système des ponts réseau, causée par un accès à la mémoire après sa libération dans le code de sortie d’un groupe multicast (après la suppression d’un élément de la liste chaînée, la boucle ne s’est pas arrêtée et lors des itérations, un accès a été effectué via un pointeur vers la liste des ports, restant après la suppression). Le problème a été corrigé le 9 août. Le fonctionnement de l'exploit a été démontré sur RHEL 10 avec le noyau 6.12.
• CVE-2026-72255 (exploit) — une vulnérabilité dans le module nf_queue du sous-système netfilter, causée par un accès à la mémoire après sa libération, se produisant dans le cas où, après la suppression d'un pont réseau, le paquet associé était toujours dans la file d'attente NFQUEUE. Le problème a été corrigé le 24 juillet. Le fonctionnement de l'exploit a été démontré sur Ubuntu 26.04 avec le noyau 7.0.
• CVE-2026-72137 (exploit) — une vulnérabilité dans le module IPSec XFRM, entraînant un double accès à la structure skb lors d’une erreur d’envoi de paquet keepalive. Le problème a été corrigé le 30 juin. Le fonctionnement de l'exploit a été démontré sur Ubuntu 26.04 avec le noyau 7.0.
• CVE-2026-68376 (exploit) — une vulnérabilité dans l’implémentation du protocole SCTP, conduisant à un débordement de tampon en raison d’un calcul incorrect de la taille du tableau pour stocker les identifiants HMAC. Le problème a été corrigé le 3 août. Le fonctionnement de l'exploit a été démontré sur Ubuntu 26.04 avec le noyau 7.0.
• CVE-2026-68162 (exploit) — une vulnérabilité dans l’implémentation du protocole SCTP, conduisant à un accès à la mémoire après sa libération lors d'une tentative de modification d'un paramètre sysctl après la fermeture de la socket de contrôle. Le problème a été corrigé le 10 avril. Le fonctionnement de l'exploit a été démontré sur Ubuntu 26.04 avec le noyau 7.0.
• CVE-2026-64560 (exploit) — une vulnérabilité dans posix-cpu-timer, conduisant à un accès à la mémoire après sa libération en raison d'un état de compétition entre la suppression du minuterie et l’appel de exec() après le changement de leader de groupe de threads. Le problème a été corrigé le 5 juillet. Le fonctionnement de l'exploit a été démontré sur un appareil Google Pixel avec la plateforme Android.
• CVE-2026-52933 (exploit) — une vulnérabilité dans le sous-système io_uring, conduisant dans le cas de l’activation du drapeau IO_POLL_CANCEL_FLAG à un accès à la mémoire après sa libération en raison de l’interprétation comme un nombre négatif de la valeur atomic_read() lors de la comparaison avec le compteur de références. Le problème a été corrigé le 15 avril. Le fonctionnement de l'exploit a été démontré sur Fedora Linux avec le noyau 6.19.
• CVE-2026-52924 (exploit) — vulnérabilité dans l'implémentation du protocole SCTP, entraînant un accès mémoire après libération en raison d'un pointeur actif laissé et de données dans la file d'envoi après la libération de la table de flux suite à l'erreur « Stale Cookie ». Problème résolu le 19 juin. L'exploitation a été démontrée sous Ubuntu 26.04 avec le noyau 7.0.
• CVE-2026-52923 (exploit) — vulnérabilité dans le sous-système SysV IPC, entraînant un accès mémoire après libération en raison d'un pointeur pendu sur un élément d'index libéré dans la structure IDR. Problème résolu le 24 juillet. L'exploitation a été démontrée sous RHEL 10 avec le noyau 6.12.
• CVE-2026-52912 (exploit) — vulnérabilité dans le module nf_queue du sous-système netfilter, causée par un accès mémoire après libération en raison d'un traitement incorrect du pointeur après la suppression d'un pont réseau alors que des paquets y étaient associés dans la file NFQUEUE. Problème résolu le 1er juin. L'exploitation a été démontrée dans openSUSE avec le noyau 6.4.
• CVE-2026-43501 (exploit) — vulnérabilité dans le code de réemballage des en-têtes IPv6 SRH (Source Routing Header), entraînant une écriture de données en dehors du tampon par manque de vérification des conditions sous lesquelles le nouvel en-tête peut être plus grand que l'ancien. Problème résolu le 7 mai. L'exploitation a été démontrée lors du concours kernelCTF.
• CVE-2026-43042 (exploit) — vulnérabilité dans le mécanisme MPLS, entraînant un accès aux données en dehors du tampon à cause d'une condition de course qui se produit lors de la lecture simultanée d'un verrou et de la modification de la taille de la table. Problème résolu le 11 avril. L'exploitation a été démontrée dans Debian 13 avec le noyau 6.12.
• CVE-2026-31678 (exploit) — vulnérabilité dans le sous-système openvswitch, causée par un accès mémoire après libération en raison d'une condition de course lors de la suppression d'une référence à un dispositif réseau avant la fin du cycle RCU (Read-Copy-Update). Problème résolu le 2 avril. L'exploitation a été démontrée sous Fedora Linux 44 avec le noyau 6.19.
• CVE-2026-31659 (exploit) — vulnérabilité dans l'implémentation du protocole B.A.T.M.A.N. (Better Approach to Mobile Ad-hoc Networking), entraînant un dépassement de tampon dû à un dépassement entier causé par l'utilisation de valeurs 16 bits lors du calcul de la taille du tampon. Problème résolu le 18 avril. L'exploitation a été démontrée dans Arch Linux avec le noyau 6.19.

Source : opennet.ru